漏洞概要
关注数(24)
关注此漏洞
漏洞标题:叮当快药某后台弱口令+SQL注入敏感信息泄露
漏洞作者: 沦沦
提交时间:2015-07-13 11:25
修复时间:2015-08-27 11:48
公开时间:2015-08-27 11:48
漏洞类型:后台弱口令
危害等级:高
自评Rank:20
漏洞状态:厂商已经确认
Tags标签:
无
漏洞详情
披露状态:
2015-07-13: 细节已通知厂商并且等待厂商处理中
2015-07-13: 厂商已经确认,细节仅向厂商公开
2015-07-23: 细节向核心白帽子及相关领域专家公开
2015-08-02: 细节向普通白帽子公开
2015-08-12: 细节向实习白帽子公开
2015-08-27: 细节向公众公开
简要描述:
叮当快药某后台弱口令+SQL注入敏感信息泄露
详细说明:
买药要让我扫二维码加APP,这是主动让我来进行安全测试呀,进行搜索你们的网站等到了一个后台,没加验证码可进行暴力破解
暴破出N多管理员密码
进后台还发现存在SQL注入漏洞,可进行全站拖库,我是好人不拖库只做测试
address参数没进行过滤
漏洞证明:
买药要让我扫二维码加APP,这是主动让我来进行安全测试呀,进行搜索你们的网站等到了一个后台,没加验证码可进行暴力破解
暴破出N多管理员密码
进后台还发现存在SQL注入漏洞,可进行全站拖库,我是好人不拖库只做测试
address参数没进行过滤
修复方案:
改密码加验证码过滤,如果厂商来确认能送10K京东卡吗,哈哈
版权声明:转载请注明来源 沦沦@乌云
漏洞回应
厂商回应:
危害等级:高
漏洞Rank:10
确认时间:2015-07-13 11:47
厂商回复:
内部系统对外未屏蔽访问。SQL注入已加入拦截机制。
感谢提供的信息。
谢谢
最新状态:
暂无